К содержанию

Документы

Поручение на обработку персональных данных

Редакция от 25.09.2026. Обработка данных клиентов организации Заказчика в сервисе Qwweee по поручению оператора.

Настоящее поручение (далее — Поручение) определяет условия обработки персональных данных (далее — ПДн) лицом, осуществляющим обработку по поручению оператора, в соответствии с ч. 3 ст. 6 Федерального закона от 27.07.2006 № 152-ФЗ «О персональных данных».

Поручение является неотъемлемой частью договорных отношений между Заказчиком и Исполнителем, возникающих при акцепте публичной оферты, и действует параллельно с политикой обработки персональных данных.

1. Стороны и роли

1.1. Оператор персональных данных (Заказчик) — организация или индивидуальный предприниматель, создавший Кабинет в сервисе «Qwweee» и определяющий цели и состав обработки ПДн своих клиентов (учеников, родителей, представителей и иных субъектов).

1.2. Лицо, обрабатывающее ПДн по поручению (Исполнитель):

  • Исполнитель: Буторин Сергей Алексеевич, применяющий специальный налоговый режим «Налог на профессиональный доход» (НПД)
  • Правовой статус / режим: Специальный налоговый режим «Налог на профессиональный доход» (НПД)
  • ИНН: 614601525884
  • Email: support@qwweee.ru
  • Telegram: @...
  • Реквизиты для оплаты:
    ПАО "Банк Зенит"
    БИК: 044525272
    Корр. счёт: 30101810000000000272
    Счёт: 40817810299980914492

1.3. Исполнитель обрабатывает ПДн только по документированным инструкциям Заказчика, выраженным в использовании функций Сервиса, настройках Кабинета и настоящем Поручении, а также в случаях, когда обработка необходима для исполнения договора с Заказчиком, обеспечения безопасности платформы или исполнения требований закона РФ.

2. Обязанность Заказчика получить согласия и правовые основания

2.1. Заказчик обязан до загрузки, ввода или импорта ПДн в Кабинет обеспечить наличие всех необходимых правовых оснований обработки, включая — где требуется законом — согласия субъектов ПДн и их законных представителей (в том числе для несовершеннолетних), уведомление Роскомнадзора в случаях, предусмотренных законом, публикацию локальной политики конфиденциальности организации для клиентов и представителей.

2.2. Заказчик подтверждает, что не будет использовать Сервис для обработки ПДн без согласия субъектов, если иное не допускается 152-ФЗ (например, исполнение договора с субъектом в случаях, прямо предусмотренных законом).

2.3. Заказчик несёт полную ответственность перед субъектами ПДн и надзорными органами как единственный оператор в отношении данных клиентов организации. Исполнитель не проверяет наличие каждого согласия по каждой записи, но вправе запросить подтверждение правовых оснований при подозрении на нарушение закона.

2.4. Заказчик обязан незамедлительно уведомить Исполнителя, если обработка по поручению должна быть прекращена или ограничена (отзыв согласия, решение суда, требование Роскомнадзора).

3. Перечень категорий персональных данных

Заказчик поручает обработку ПДн в объёме, который Заказчик или уполномоченные Пользователи вносят в Кабинет, включая (не исчерпывающий перечень):

  • ФИО, пол, дата рождения, возраст;
  • контактные данные (телефон, email, мессенджеры, адрес);
  • сведения о представителях (родители, опекуны);
  • данные о посещаемости, тренировках, группах, мероприятиях, достижениях;
  • финансовые сведения (абонементы, оплаты, задолженности), отражённые Заказчиком в Кабинете;
  • сведения из договоров, заявлений, медицинские и спортивные документы и иные файлы, загруженные Заказчиком в карточки клиентов и хранилища Кабинета;
  • фото, видео, файлы, переписка, записи звонков — в объёме, создаваемом при использовании функций загрузки медиа, телефонии, мессенджеров и иных модулей, подключённых Заказчиком;
  • учётные данные сотрудников Заказчика, имеющих доступ к ПДн клиентов;
  • технические метаданные (время изменений, автор операции) для аудита.

Особые категории ПДн (ст. 10 152-ФЗ) и биометрические ПДн (ст. 11 152-ФЗ) обрабатываются только если Заказчик сам вносит такие сведения и имеет на это правовые основания; Исполнитель не инициирует сбор таких категорий.

4. Цели обработки по поручению

Обработка по поручению ограничена целями:

  • предоставление Заказчику доступа к функциям Сервиса «Qwweee» (журнал, CRM, расписание, финансы, коммуникации, отчёты) на домене qwweee.ru и поддоменах Кабинета;
  • резервное копирование, восстановление, миграция между средами — для непрерывности Сервиса;
  • техническая поддержка по обращениям Заказчика;
  • обеспечение информационной безопасности платформы, предотвращение инцидентов;
  • исполнение требований законодательства РФ, обязательных запросов государственных органов (с уведомлением Заказчика, когда это не запрещено законом);
  • работа ИИ-модулей и интеграций — только в объёме, активированном Заказчиком, для функций, описанных в интерфейсе модуля.

Исполнитель не вправе использовать ПДн клиентов организации Заказчика для собственного маркетинга, продажи баз третьим лицам или иных целей вне настоящего Поручения и договора с Заказчиком.

5. Действия с персональными данными

Исполнитель вправе совершать действия: сбор, запись, систематизация, накопление, хранение, уточнение, извлечение, использование, передача (предоставление доступа уполномоченным Пользователям Заказчика и субобработчикам), обезличивание, блокирование, удаление, уничтожение — в объёме, необходимом для целей раздела 4.

6. Локализация и субобработчики

6.1. Первичное хранение и обработка данных Сервиса осуществляются с использованием инфраструктуры на территории Российской Федерации.

6.2. Исполнитель вправе привлекать субобработчиков (хостинг, мониторинг, доставка email/SMS, резервное копирование) при условии заключения с ними соглашений о конфиденциальности и обработке ПДн не менее строгих, чем настоящее Поручение. Актуальный перечень категорий субобработчиков может быть запрошен Заказчиком на support@qwweee.ru.

6.3. Подключение Заказчиком Модулей Маркета с передачей ПДн провайдеру модуля считается инструкцией Заказчика на такую передачу; ответственность за выбор провайдера и трансграничную передачу несёт Заказчик.

7. Меры по защите персональных данных

Исполнитель принимает организационные и технические меры в соответствии со ст. 18.1 и ст. 19 152-ФЗ, включая:

  • разграничение доступа по ролям в Кабинете и в инфраструктуре;
  • шифрование каналов передачи (TLS), защита периметра, актуализация ПО;
  • журналирование значимых операций в Сервисе;
  • резервное копирование и процедуры восстановления;
  • обучение лиц, допущенных к обработке, и ограничение круга таких лиц;
  • реагирование на инциденты безопасности.

Заказчик обязан: назначать ответственных администраторов, выдавать доступ по принципу минимальных привилегий, использовать надёжные пароли, своевременно отзывать доступ уволенным сотрудникам.

8. Инциденты и уведомления

8.1. При выявлении неправомерной или случайной передачи (распространения, предоставления, доступа) ПДн, повлекшей нарушение прав субъектов, Исполнитель уведомляет Заказчика в разумный срок (ориентир — до 24 часов с момента подтверждения инцидента, если иной срок не установлен договором или законом для Исполнителя как привлекаемого лица).

8.2. Уведомление содержит: описание характера инцидента, категории затронутых ПДн (если известно), принятые меры и рекомендации Заказчику по уведомлению Роскомнадзора и субъектов, если это обязанность оператора.

8.3. Заказчик как оператор несёт обязанности по уведомлению Роскомнадзора и субъектов в сроки, установленные 152-ФЗ, если инцидент затрагивает обработку по поручению.

9. Запрет публикации ПДн через ИИ и иные риски

9.1. Заказчику и Пользователям запрещается намеренно включать в промпты ИИ-модулей и публичные каналы Сервиса персональные данные в объёме, превышающем необходимый для служебной задачи, а также использовать ИИ для массовой генерации сообщений с ПДн без правовых оснований.

9.2. Риск раскрытия ПДн вследствие некорректного промпта, экспорта ответа модели или подключения зарубежного провайдера LLM несёт Заказчик, если Исполнитель не допустил нарушения со своей стороны при обеспечении заявленных мер защиты платформы.

9.3. Исполнитель вправе ограничить доступ к ИИ-модулям при выявлении систематического нарушения настоящего раздела.

10. Права субъектов и содействие Исполнителя

Запросы субъектов ПДн (доступ, уточнение, удаление, отзыв согласия) в отношении данных клиентов организации Заказчика направляются Заказчику. Исполнитель по письменному запросу Заказчика (email уполномоченного администратора) содействует в техническом выполнении: экспорт, исправление, блокирование, удаление записей в пределах функций Кабинета и сроков, согласованных с тарифом.

11. Срок поручения, возврат и уничтожение данных

11.1. Поручение действует с момента акцепта оферты до прекращения договора с Заказчиком.

11.2. После прекращения договора Исполнитель предоставляет Заказчику возможность выгрузки Контента (включая ПДн) в течение разумного срока (как правило, до 30 календарных дней), затем удаляет или обезличивает ПДн в инфраструктуре Исполнителя, если более длительное хранение не требуется законом или не согласовано отдельно.

11.3. По письменному требованию Заказчика Исполнитель подтверждает уничтожение (или обезличивание) в части, находящейся под его контролем, с учётом резервных копий, уничтожаемых по регламенту в установленные сроки.

12. Ответственность

12.1. Заказчик возмещает Исполнителю убытки и штрафы, возникшие из‑за отсутствия согласий субъектов, незаконных инструкций или нарушения Заказчиком 152-ФЗ, если Исполнитель действовал в рамках Поручения.

12.2. Исполнитель отвечает перед Заказчиком за нарушение обязанностей лица, обрабатывающего ПДн по поручению, в пределах ответственности, установленной офертой.

13. Изменение Поручения

Новая редакция публикуется на /legal/dpa. Продолжение использования Сервиса после вступления изменений в силу при соблюдении процедуры уведомления в оферте означает согласие с обновлённым Поручением в части, допускаемой законом.

Редакция от 25.09.2026.